Par un arrêt rendu le 1er août dernier, la CJUE a apporté des précisions sur la notion de « données sensibles » au sens du RGPD. Retour sur cette décision aux conséquences pratiques non négligeables.
La CJUE a été saisie de deux questions préjudicielles dans le cadre d’un litige lituanien relatif à la légalité d’une disposition nationale exigeant la publication d’une déclaration d’intérêts privés par le directeur d’un établissement percevant des fonds publics.
La 1ère question portait en particulier sur le point de savoir si le RGPD s’oppose à une disposition nationale prévoyant la mise en ligne de données à caractère personnel contenues dans les déclarations d’intérêts privés que tout directeur d’un établissement percevant des fonds publics est tenu de déposer auprès de l’autorité nationale chargée de collecter ces déclarations et d’en contrôler la teneur.
La CJUE a répondu par l’affirmative, dans la mesure où la publication en cause comporte notamment des données nominatives relatives au conjoint, concubin ou partenaire du déclarant ainsi qu’aux personnes proches ou connues de lui susceptibles de donner lieu à un conflit d’intérêts. Pour ce faire, la CJUE s’est notamment basée sur le principe de minimisation des données : l’objectif général poursuivi (garantir l’impartialité des décisions des personnes travaillant dans le service public/lutter contre la corruption) pourrait être atteint en faisant uniquement référence à l’expression générique de conjoint, concubin ou partenaire selon le cas, reliée à l’indication pertinente des intérêts détenus par ces derniers en relation avec leurs activités.
La seconde question était la suivante : est-ce que la publication sur le site internet de l’autorité publique concernée de données à caractère personnel susceptibles de divulguer indirectement les opinions politiques, l’appartenance syndicale ou l’orientation sexuelle d’une personne physique constitue un traitement de données sensibles au sens du RGPD ?
La CJUE a relevé que si les données concernées ne constituent pas par leur nature des données sensibles au sens de ces textes, elles sont de nature à révéler, par une opération intellectuelle de rapprochement ou de déduction, l’orientation sexuelle d’une personne physique et, de ce fait, rentrent dans la catégorie de données sensibles.
Cette position des juges européens apporte des clarifications à la qualification de données sensibles : sont concernées, au-delà des données sensibles par nature, les données révélant des données sensibles par simple rapprochement ou déduction intellectuels.
Une telle décision invite ainsi les responsables de traitement et sous-traitants à la plus grande vigilance dans leurs traitements de données, les cas de qualification de données sensibles étant particulièrement larges. A suivre la CJUE, de simples données de géolocalisation ou de consommation et d’habitude alimentaires pourraient effectivement permettre de déduire la religion d’une personne et pourraient être qualifiées de données sensibles.
Lien vers la décision : ici
